服务器安全进阶与防 DDoS 完全指南

#!/bin/bash
# 文件路径：/usr/local/bin/update-cf-whitelist.sh
# 功能：拉取 Cloudflare 最新 IP 段，只允许 CF 节点访问 80/443，封闭所有其他来源
# 建议每周执行一次（加入 Cron）：0 4 * * 1 /usr/local/bin/update-cf-whitelist.sh

# 先关闭对 Web 端口的所有公网访问
ufw deny 80/tcp
ufw deny 443/tcp

# 拉取 Cloudflare 最新的 IPv4 地址段并逐一放行
# 截至 2026 年，CF IPv4 包含约 15 个 CIDR 块，如 103.21.244.0/22, 141.101.64.0/18 等
echo "正在更新 Cloudflare IPv4 白名单..."
for ip in $(curl -s https://www.cloudflare.com/ips-v4); do
    ufw allow from "$ip" to any port 80,443 proto tcp comment "CF-IPv4"
done

# 同样放行 Cloudflare IPv6 地址段
echo "正在更新 Cloudflare IPv6 白名单..."
for ip in $(curl -s https://www.cloudflare.com/ips-v6); do
    ufw allow from "$ip" to any port 80,443 proto tcp comment "CF-IPv6"
done

echo "Cloudflare 白名单更新完成！当前规则："
ufw status | grep CF

# 文件路径：/etc/nginx/sites-available/default
# 此配置必须排在其他 server{} 块之前，作为 Nginx 最先匹配的"兜底"规则

server {
    # 同时监听 IPv4 与 IPv6，default_server 让 Nginx 把所有"无主"请求转到这里
    listen 80  default_server;
    listen [::]:80  default_server;
    listen 443 ssl default_server;
    listen [::]:443 ssl default_server;

    server_name _;  # 匹配任意 Host 头，包括直接 IP 访问

    # ⚠️  必须配置一个证书，否则 443 上的 TLS 握手会失败并泄露报错信息
    # 使用系统自带的蛇油（self-signed）证书即可，无需真实证书
    ssl_certificate     /etc/ssl/certs/ssl-cert-snakeoil.pem;
    ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;

    # 444 是 Nginx 专有非标准状态码
    # 效果：直接在 TCP 层关闭连接，不返回任何 HTTP 报头或报文
    # 对扫描器来说：它发出请求，什么都收不到，超时后才能判断结果——极大拖慢扫描效率
    return 444;
}

# 编辑 SSH 配置文件：/etc/ssh/sshd_config
# 修改完成后执行 systemctl restart sshd 生效

# 【第一步】修改默认端口（将 22 改为任意非标准端口，如 39217）
# 注意：修改前务必先在防火墙放行新端口！
Port 39217

# 【第二步】禁用密码登录，强制使用密钥认证
PasswordAuthentication no
ChallengeResponseAuthentication no
UsePAM no

# 【第三步】禁用 root 用户直接登录（强制使用普通用户 sudo）
PermitRootLogin no

# 【第四步】限制只允许特定用户登录（将 youruser 改为您的实际用户名）
AllowUsers youruser

# 【第五步】关闭 X11 图形转发与 TCP 转发（减少攻击面）
X11Forwarding no
AllowTcpForwarding no

# 【第六步】设置无操作超时：180 秒无操作则自动踢出空闲连接
ClientAliveInterval 180
ClientAliveCountMax 2

# 【第七步】限制认证失败次数（超过 3 次密钥认证失败则断开）
MaxAuthTries 3

# 安装 knockd（端口敲门守护程序）
sudo apt install knockd -y

# 编辑配置文件：/etc/knockd.conf
[options]
    UseSyslog

# 定义一个"开门"序列：依次敲 7000(tcp) → 8000(udp) → 9000(tcp)，10秒内完成
[openSSH]
    sequence    = 7000,8000,9000
    seq_timeout = 10
    tcpflags    = syn
    command     = /sbin/ufw allow from %IP% to any port 39217 proto tcp
    # %IP% 是 knockd 自动替换为发起敲门客户端的真实 IP

# 定义一个"关门"序列：依次敲 9000 → 8000 → 7000 关闭访问
[closeSSH]
    sequence    = 9000,8000,7000
    seq_timeout = 10
    tcpflags    = syn
    command     = /sbin/ufw delete allow from %IP% to any port 39217 proto tcp

# 启动 knockd 服务
sudo systemctl enable --now knockd

# 在您的本地电脑上安装 knock 客户端
# macOS:   brew install knock
# Linux:   sudo apt install knockd
# Windows: 使用 nmap 模拟，见下文

# 执行敲门序列（依次向三个端口发一个 TCP SYN 包）
knock -v 1.2.3.4 7000 8000:udp 9000
# 1.2.3.4 替换为您的服务器公网 IP

# 敲完后 SSH 连接（使用修改后的端口）
ssh -p 39217 youruser@1.2.3.4

# Windows 用户用 nmap 模拟敲门
nmap -Pn --host-timeout 100 --max-retries 0 -p 7000 1.2.3.4
nmap -Pn --host-timeout 100 --max-retries 0 -p U:8000 1.2.3.4
nmap -Pn --host-timeout 100 --max-retries 0 -p 9000 1.2.3.4

# ── 方案一：使用传统 iptables（适合 Ubuntu 20.04 及更早版本）──

# 规则1：限制单个 IP 在 80/443 端口的并发 TCP 半连接数上限为 20
# connlimit 统计的是处于 SYN_RECV 状态的连接（即尚未完成三次握手的连接）
# --reject-with tcp-reset 相比 DROP，能让客户端更快感知到拒绝，节省服务器资源
iptables -A INPUT -p tcp --syn --dport 80  -m connlimit --connlimit-above 20 -j REJECT --reject-with tcp-reset
iptables -A INPUT -p tcp --syn --dport 443 -m connlimit --connlimit-above 20 -j REJECT --reject-with tcp-reset

# 规则2：限制新建连接速率（每秒超过 30 个新 SYN 包的 IP 直接封禁 60 秒）
# 这能有效阻断 SYN Flood：正常用户每秒新建连接不会超过个位数
iptables -A INPUT -p tcp --syn -m recent --name syn_flood --update --seconds 1 --hitcount 30 -j DROP
iptables -A INPUT -p tcp --syn -m recent --name syn_flood --set

# 规则3：ICMP 洪水防护（ping 频率限制，每秒最多 1 次，突发最多 5 次）
iptables -A INPUT -p icmp -m limit --limit 1/s --limit-burst 5 -j ACCEPT
iptables -A INPUT -p icmp -j DROP

# 持久化保存规则（重启后不丢失）
apt install iptables-persistent -y
netfilter-persistent save

# ── 方案二：使用现代 nftables（Ubuntu 22.04+ / Debian 11+ 推荐）──
# nftables 是 iptables 的官方继任者，语法更清晰，性能更优

# 编辑或创建：/etc/nftables.conf
table inet filter {
    # 使用 meter（流量计）为每个 IP 单独计数，比 iptables connlimit 精度更高
    set tcp_flood {
        type ipv4_addr
        flags dynamic, timeout
        timeout 60s  # 计数器 60 秒后自动清零
    }

    chain input {
        type filter hook input priority 0; policy accept;

        # 限制单个 IPv4 来源每 10 秒内的 TCP SYN 数量
        # 超过 60 个即视为 SYN Flood，直接丢包
        ip protocol tcp tcp flags syn             add @tcp_flood { ip saddr limit rate over 60/minute }             drop

        # ICMP 速率限制（防止 ping 洪水）
        ip protocol icmp limit rate 10/second accept
        ip protocol icmp drop
    }
}

# 应用配置并设置开机自启
systemctl enable --now nftables
nft -f /etc/nftables.conf

# 编辑或创建：/etc/fail2ban/jail.local
# 此文件的设置会覆盖 /etc/fail2ban/jail.conf 中的默认值

[DEFAULT]
# 白名单：这些 IP 永远不会被封禁（填写您的家庭/办公室 IP）
ignoreip = 127.0.0.1/8 ::1 你的家庭IP

# ── Jail 1：封锁 WordPress 暴力破解 ──
[nginx-wordpress]
enabled  = true
port     = http,https
filter   = nginx-botsearch
logpath  = /var/log/nginx/access.log
# 60 秒内触发 3 次恶意请求（访问 wp-login.php, xmlrpc.php 等）
maxretry = 3
findtime = 60
# 封禁 7 天（604800 秒），让攻击者望而却步
bantime  = 604800

# ── Jail 2：封锁通用漏洞扫描 (.env, .git, phpmyadmin 探测) ──
[nginx-bad-requests]
enabled  = true
port     = http,https
filter   = nginx-botsearch
logpath  = /var/log/nginx/access.log
maxretry = 5
findtime = 120
bantime  = 86400  # 封禁 24 小时

# ── 重启生效 ──
# systemctl restart fail2ban
# 查看封禁状态：fail2ban-client status nginx-bad-requests

#!/bin/bash
# 文件路径：/etc/fail2ban/action.d/cloudflare-ban.sh
# 功能：当 Fail2ban 触发封禁时，同时通过 Cloudflare API 将恶意 IP 拉入 CF 防火墙黑名单
# 这样即使攻击者绕过 CDN 直连，CF 层面也会提前拦截

# ─ 配置区（填写您的 Cloudflare 信息）─────────────────────────────
CF_API_TOKEN="YOUR_CLOUDFLARE_API_TOKEN"  # CF 后台 -> 我的个人资料 -> API 令牌 -> 创建令牌
CF_ZONE_ID="YOUR_ZONE_ID"                 # CF 域名 -> 概述页面 -> 右侧 Zone ID
# ────────────────────────────────────────────────────────────────

ACTION=$1   # ban 或 unban
IP=$2       # 要操作的 IP 地址

if [ "$ACTION" = "ban" ]; then
    # 调用 CF API 创建一条 IP 封禁规则
    curl -s -X POST "https://api.cloudflare.com/client/v4/zones/$CF_ZONE_ID/firewall/access_rules/rules"          -H "Authorization: Bearer $CF_API_TOKEN"          -H "Content-Type: application/json"          --data "{
           \"mode\": \"block\",
           \"configuration\": { \"target\": \"ip\", \"value\": \"$IP\" },
           \"notes\": \"Auto-banned by Fail2ban on $(date -u +%Y-%m-%dT%H:%M:%SZ)\"
         }" > /dev/null
    echo "[CF-Ban] Blocked $IP on Cloudflare"

elif [ "$ACTION" = "unban" ]; then
    # 查询规则 ID 后删除
    RULE_ID=$(curl -s -X GET "https://api.cloudflare.com/client/v4/zones/$CF_ZONE_ID/firewall/access_rules/rules?mode=block&configuration_value=$IP"               -H "Authorization: Bearer $CF_API_TOKEN" | grep -o '"id":"[^"]*"' | head -1 | cut -d'"' -f4)
    if [ -n "$RULE_ID" ]; then
        curl -s -X DELETE "https://api.cloudflare.com/client/v4/zones/$CF_ZONE_ID/firewall/access_rules/rules/$RULE_ID"              -H "Authorization: Bearer $CF_API_TOKEN" > /dev/null
        echo "[CF-Ban] Unblocked $IP on Cloudflare"
    fi
fi

# 创建 Fail2ban Action 配置：/etc/fail2ban/action.d/cloudflare.conf

[Definition]
actionban   = /etc/fail2ban/action.d/cloudflare-ban.sh ban   <ip>
actionunban = /etc/fail2ban/action.d/cloudflare-ban.sh unban <ip>

# 在 jail.local 中为任意 jail 启用此 action：
# [nginx-bad-requests]
# action = iptables-multiport[name=nginx, port="http,https"]
#          cloudflare

# 赋予脚本执行权限
# chmod +x /etc/fail2ban/action.d/cloudflare-ban.sh
# systemctl restart fail2ban